Auf den Punkt: Linus Torvalds fordert, bei KI-gefundenen Linux-Sicherheitslücken künftig gleich einen Patch statt nur eines Reports einzureichen, da die Security-Mailingliste durch Dubletten kaum noch handhabbar sei.
Linus Torvalds bemängelt in seinem wöchentlichen Kernel-Update nicht die steigende Zahl per KI-Tools entdeckter Lücken selbst, sondern den chaotischen Umgang mit den Meldungen. Die Security-Mailingliste sei durch Dubletten und Diskussionen darüber kaum noch zu bewältigen.
In seinem regelmäßigen Update zur Entwicklung des Linux-Kernels äußerte sich Linus Torvalds zur Flut an Sicherheitslücken, die derzeit mit Hilfe von KI-Tools gefunden werden. Sein Kritikpunkt betrifft dabei nicht die Anzahl der Funde, sondern die Art, wie damit umgegangen wird. Zum einen entstehen zahlreiche Dubletten: Wenn eine Lücke mit einem KI-Tool gefunden wurde, kann derselbe Fund praktisch zeitgleich auch von anderer Seite gemeldet werden. Solche Meldungen seien laut Torvalds „per definitionem kein Geheimnis“ mehr, da das eingesetzte Tool jedem zugänglich sei, der danach sucht.
Torvalds fordert deshalb, vor einer Meldung an die zuständigen Personen in der Community zunächst zu prüfen, ob die betreffende Lücke nicht bereits geschlossen wurde. Die Security-Mailingliste sei durch die vielen doppelten Meldungen und die daran anschließenden Diskussionen mittlerweile „fast völlig unbewältigbar“. Noch problematischer sei laut Torvalds die Behandlung auf privaten Mailinglisten, wo mit vermeintlich vertraulichen Informationen zu Lücken umgegangen wird, die durch die Verfügbarkeit entsprechender KI-Tools ohnehin kein Geheimnis mehr darstellen. Das Ergebnis sei ein „sinnloses Hin und Her“.
Für Praktiker in der Kernel- und Security-Community bedeutet dies konkret: Torvalds erwartet nicht mehr bloße Reports über per KI gefundene Schwachstellen, sondern fordert, direkt einen Patch mitzuliefern. Wer ein KI-Tool zur Lückensuche einsetzt, müsse „einen echten Mehrwert beitragen, zusätzlich zu dem, was die KI gemacht hat“ – etwa durch eine funktionsfähige Fix-Einreichung statt einer reinen Fundmeldung.
Torvalds bewertet den Einsatz der Tools selbst grundsätzlich positiv, sieht aber im aktuellen Meldeprozess einen strukturellen Engpass, der durch die schiere Menge an automatisiert generierten Findings entstanden ist. Der Kommentar reiht sich ein in eine Serie kürzlich veröffentlichter Linux-Sicherheitslücken, etwa zu Privilegienausweitungen bei lokalen Nutzern oder bereits aktiv ausgenutzten Schwachstellen im Kernel.
Quelle: www.heise.de · Erschienen 18. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.